JP3686080B2

JP3686080B2 - Modification detection method for digital signal aggregate

Info

Publication number: JP3686080B2
Application number: JP50408795A
Authority: JP
Inventors: スィー．、ザサードアレン、ローレンス; フォレスト、スティファニー; エス．ペレルソン、アラン
Original assignee: スィー．、ザサードアレン、ローレンス; フォレスト、スティファニー; エス．ペレルソン、アラン
Priority date: 1993-07-08
Filing date: 1994-07-01
Publication date: 2005-08-24
Anticipated expiration: 2020-08-24
Also published as: EP0707765A1; US5448668A; TW274594B; EP0707765A4; WO1995002293A1; JPH09502550A; USRE36417E

Description

技術分野
本発明は、コンピュータにおいて格納されもしくは使用されるようなデジタル信号集合体に対する改変を検出する方法に関する。また、特に、本発明は、例えば、ウイルスや他の形態による不当な改ざんにより生じたコンピュータファイル内の改変を検出する方法に関する。
発明の背景
ハードウェアはネットワークを介して相互に関係付けられ、一方ソフトウェアはコンピュータプログラム及びデータの携帯性という面から相互に関係付けられるというように、コンピュータシステムやソフトウェアが益々相互に関連してくるにつれて、例えばウイルスのような不当な利用者や不当な改ざん者による不当な侵入から守ることは益々困難なものとなってきている。更に、コンピュータが益々相互に関係付けられるにつれて、一旦コンピュータネットワークのあるノードでそのような侵入が起こるとその侵入から（他の装置を）離隔させるのは益々困難になってきている。
この技術分野においては、ウイルス検出プログラムがよく知られている。典型的な従来のウイルス検出プログラムにおいては、コンピュータの副構成要素である記憶媒体（メモリ又はディスク）内に寄生する特定のウイルスを追跡してその存在を判断することがプログラムにより行われている。しかしながら、かかる従来の対ウイルス・プログラムは単に既知のウイルスを検出するにすぎない。新しいウイルスが創作されてコンピュータプログラムに侵入するような場合、その対ウイルス・プログラムでは新しいウイルスは特定できないので、そのような新規に侵入するウイルスの存在を検出することはできない。それ故、従来において対ウイルス・プログラムが次々と出現してきた理由の一つとしては、新たに創作されたウイルスを特定するために対ウイルス・プログラムは随時更新されなければならなかったからである。
同様に、従来の対ウイルス・プログラムの他の問題点としては次のようなものがある。即ち、ネットワーク上のあるコンピュータのあるノードからあるウイルスが侵入し、対ウイルス・プログラムがそれを検出できなかった場合、ネットワーク上の他のすべてのコンピュータに同じ対ウイルス・プログラムが備わっていたとしても、そのウイルスは検出されないままネットワーク上の他のすべてのコンピュータに拡散してしまう。その結果、新しいウイルスであれば、コンピュータネットワーク上のあるノードに一旦侵入すれば、全コンピュータネットワークに侵入拡散できることが事実上確証される。
コンピュータ技術分野において、対ウイルス・プログラムと同じように、その改変を検出するためにあるファイルを他のファイルと比較するプログラムというのはよく知られている。加えて、例えばチェックサムのようなファイル認証方法もこの技術分野においてはよく知られている。
生物学の分野においては、免疫システム細胞というものがよく知られている。Ｔ細胞がその免疫システムの一部を構成している。Ｔ細胞は抗原を検出する受容体をその表面に有している。これらの受容体は疑似ランダム遺伝的過程を経て構成され、いくつかの受容体は生体からの分子もしくは「自己分子」を検出することができる高い可能性を有している。Ｔ細胞は胸腺において消極的選択と呼ばれる検閲過程を経る。消極的選択において、自己分子もしくは生体にとって通常の分子、又はペプチドである分子を認識したＴ細胞は、破壊され胸腺に抑留される。自己ペプチドを検出しなかったＴ細胞は、胸腺を離れ、外部からの抗原に対する免疫による保護についての一基礎を提供する。
発明の概要
本発明においては、オリジナル・コンピュータ・ファイルを保護するために、複数の隣接デジタル信号を有するコンピュータ保護ファイルを生成する方法が開示されている。その方法においては先ずテストファイルが生成される。テストファイルは複数の隣接デジタル信号を有する。その方法においては、テストファイルにおける複数の隣接デジタル信号とオリジナル・コンピュータ・ファイルにおける複数の隣接デジタル信号とのマッチングが調べられる。そこで、マッチしていた場合、そのテストファイルは破棄され、その手順はもとに戻って前のテストファイルと異なる他のテストファイルを生成する。一方、マッチしていなかった場合、そのテストファイルは格納される。
本発明には、オリジナル・コンピュータ・ファイルに対する改変を検出する方法も含まれており、その方法においてはオリジナル・コンピュータ・ファイルは関連保護ファイルを有している。オリジナル・コンピュータ・ファイルは複数の隣接デジタル信号を有している。関連コンピュータ保護ファイルも複数のテストファイルを有しており、それらのテストファイルの各々は複数の隣接デジタル信号を有している。また、その複数の隣接デジタル信号は、オリジナル・コンピュータ保護ファイルが生成されたときにおいては、オリジナル・コンピュータ・ファイルにおける複数の隣接デジタル信号とはマッチしない信号である。そこで、この方法においては、コンピュータ保護ファイルの１つのテストファイルの複数の隣接デジタル信号とオリジナル・コンピュータ・ファイルにおける複数の隣接デジタル信号とが比較される。非マッチの場合には、コンピュータ保護ファイルにおけるすべてのテストファイルが検証されるまで、異なるテストファイルが選択され、手順は比較のステップまで戻る。一方、テストファイルとオリジナル・コンピュータ・ファイルがマッチした場合には、その手順は終了し、オリジナル・コンピュータ・ファイルに改変が検出されたことになる。
【図面の簡単な説明】
図１ａ及び１ｂは、コンピュータ保護ファイルを生成し、そのコンピュータ保護ファイルが生成された後のオリジナル・コンピュータ・ファイルに対する改変を検出するという本発明の好適な実施例における２つの方法のそれぞれのフローチャートである。
図２ａ及び２ｂは、それぞれ図１ａ及び１ｂに示された方法の他の実施例のフローチャートである。
図３は、コンピュータのネットワークの概略図であり、それぞれのコンピュータは、ネットワークのあるノードからウイルスが侵入した場合にその拡散を防御するためのオリジナル・コンピュータ・ファイルと関連した異なるコンピュータ保護ファイルを有している。
発明の詳細な説明
本発明は、オリジナルのコンピュータ・ファイルを保護するため、コンピュータ保護（protection）ファイルを生成する方法に関する。明細書中で、請求の範囲を含めて、使われているように、「ファイル」という用語は、デジタル情報の集まり（collection）を意味する。このようなデジタル情報の集まりには、コンピュータのディスクドライブ等の、ある格納メディア（storage medium）上に物理的に格納された物理的なファイルや、他の物理的ファイルの一部である論理的ファイルが該当し得る。「ファイル」という用語が示すものは、オリジナルのコンピュータ・ファイル内に含まれているコンピュータ保護ファイルのように、エンコードされ、他の「ファイル群」内に含まれることさえある。要するに、用語「ファイル」は、他の物理的集まりから分離された物理的集まりに限定されず、単にデジタル情報の集まりが該当する。
図１ａを参照すると、オリジナルのコンピュータ・ファイル１０を保護するためにコンピュータ保護ファイル１６を生成する本発明の方法のフローチャートが示されている。オリジナルのコンピュータ・ファイル１０は、複数の隣接するデジタル信号を有するファイル又はストリングとして表されている。本発明の方法は一般に、コンピュータ・システム内で保護されるデジタル情報の集まりに関するので、オリジナルのストリング１０は、バイナリ信号又は、バイトやキャラクタによってベースとされるより大きな信号であり得る。コンピュータは、テスト・ストリング（Ｒ₀）１２として表されるテスト・ファイルをランダムに生成する。テスト・ストリング１２は、また、隣接するデジタル信号を複数有する。次に、ランダムに生成されたテスト・ストリング１２の、オリジナル・ストリング１０の一部に対する比較（match）が試みられる。これから詳細に説明されるように、テスト・ストリングＲ₀の複数の隣接するデジタル信号は、オリジナル・ストリング１０の複数の隣接するデジタル信号と比較が試みられる。マッチ（以後、詳細に議論される基準）の場合、テスト・ストリング１２は、捨てられ（rejected）、そして、当該方法は続けて、別のランダム・テスト・ストリング１２を生成し、前記のステップを続ける。マッチしない（non-match）場合、テスト・ストリング１２はコンピュータ保護ファイル１６又は抗体セット（Ｒ）１６内に保持される。好ましい実施の形態では、これまでに記載された方法が、複数の非マッチング（non-matching）・テスト・ファイル１２が抗体セット（Ｒ）１６内に、コンピュータ保護ファイルとして格納されるまで、続けられる。
ランダムに生成されたテスト・ストリング１２の複数の隣接するデジタル信号の、オリジナル・ストリング１０の複数の隣接するデジタル信号への比較を試みるため、オリジナル・ストリング１０はまず、それぞれが複数の隣接デジタル信号から構成される、複数の隣接セグメントに構文解析され（parsed）、又は、論理的に分解される。好ましい実施の形態では、オリジナル・ストリング１０は、等しいサイズのセグメントに、構文解析又は分解される。しかしながら、これは必須の制限ではなく、単に便宜上のものである。例えば、オリジナル・ストリング１０が、
00101000100100000100001010010011
から成る３２ビット・ストリングである場合、上記記載の３２ビット・ストリングは、以下のように、それぞれ４つの隣接デジタル・ビットから構成される８つのセグメントに構文解析・分解される。
0010｜1000｜1001｜0000｜0100｜0010｜1001｜0011
オリジナル・ストリングが、それぞれ４つの隣接デジタル・ビットを有する８つのセグメントに構文解析・分解されると、ランダムに生成されるテスト・ストリング１２のそれぞれも、その長さが４つの隣接するデジタル・ビットになる。テスト・ストリング１２は、それから、テスト・ストリング１２のデジタル信号のそれぞれを、各セグメントのデジタル信号に対してテストすることによって、セグメントのそれぞれと比較される。従って、テスト・ストリング１２が隣接デジタル信号「１０００」を含む場合、テスト・ストリング１２と第２セグメントとの間にマッチが見出される。その場合、当該方法は続いて、ランダムに異なるテスト・ストリング１２を生成し、そのテスト・ストリング１２の、オリジナル・ストリング１０のセグメントのそれぞれに対する比較が試みられる。
ランダムに生成されたテスト・ストリング１２が、オリジナル・ストリング１０のセグメントのいずれにもマッチしないことが分かった場合、例えば、テスト・ストリングが「０１１１」である場合、そのテスト・ストリング１２は抗体セット（Ｒ）１６内に格納される。好ましい実施の形態では、それぞれがオリジナル・ストリング１０のセグメントのいずれにもマッチしない、複数のテスト・ストリング１２が抗体セット（Ｒ）１６内に格納されるまで、別のテスト・ストリング１２がランダムに生成され、オリジナル・ストリング１０の各セグメントに対してテストされる。
図１ｂを参照すると、本発明のもう一つの方法のフローチャートが示されており、ここでは、一旦、前記方法において判断されるように、マッチしない複数のテスト・ストリングが見出され、抗体セット（Ｒ）１６内に格納されると、抗体セット（Ｒ）１６は、テストされるストリング１８内に改変が生じているか否かを判断するのに使われる。テストされるストリング１８は、テストされたオリジナル・ストリング１０と関連を有する。オリジナル・ストリング又はオリジナル・コンピュータ・ファイル１０の許可されていない侵入又は侵略（unauthorized intrusion or invasion）が発生しなかった場合、テストされるストリング１８は、オリジナル・ストリング１０と一致する。しかしながら、抗体セット（Ｒ）１６が生成されてから、オリジナル・ストリング１０がウイルス等によって変更、又は侵された場合、テストされるストリング１８はオリジナル・ストリング１０の変形物（variation）である。図１ｂに描かれた本発明の方法は、テストされるストリング１８が、オリジナル・ストリング１０である確率が高いのか、その変更された変形物であるかの判断をする。
好ましい実施の形態においては、テストされるストリング１８も、それぞれ複数の隣接デジタル信号で構成される複数のセグメントに構文解析又は分解される。再び、好ましい実施の形態においては、セグメントの長さは等しく、かつ、抗体セット（Ｒ）１６の生成に使われたセグメントの長さに等しい。上の例で続けると、ストリング１８は、それぞれ４ビット長の８つのセグメントに構文解析・分解される。４ビット長である、抗体セット（Ｒ）１６からのテスト・ストリングのそれぞれは、ストリング１８のセグメントのそれぞれに対して比較される。抗体セット（Ｒ）１６からのテスト・ストリング１２がストリング１８からのセグメントのいずれにもマッチしない場合、抗体セット（Ｒ）１６から次のテスト・ストリング１２が使われる。これは、抗体セット（Ｒ）１６からのテスト・ストリングのすべてがテストされ、ストリング１８がオリジナル・ストリング１０と同じである確率が高いことが明らかにされるまで、続く。
一方、抗体セット（Ｒ）１６からのテスト・ストリングのいずれかが、ストリング１８のセグメントのいずれかにマッチする場合は、ストリング１８は、オリジナル・ストリング１０と一致せず、オリジナル・ストリング１０への変更が発生したことが明らかにされる。
図３には、ネットワーク化された複数のコンピュータ２０（Ａ−Ｄ）の概略図が示されている。本発明の前記方法による効果は、図３を参照することにより明らかになる。もし、それぞれのコンピュータ２０が各々のオリジナルのコンピュータ・プログラムあるいはストリング１０を遂行すると仮定するならば、図１ａを用いて説明された方法により、各コンピュータ２０（Ａ−Ｄ）は連携されたコンピュータ保護ファイルあるいは他のコンピュータ２０により生成されたものとは異なる抗体セット（Ｒ）１６を生成する。各保護ファイル１６はランダムに生成されたテスト・ストリング１２に基づいて作成されるため、コンピュータ２０Ａと連携され、Ｒ₁とラベルされた保護ファイル１６は、コンピュータ２０Ｂにより生成されたオリジナルのストリング１０と連携されたＲ₂とラベルされた保護ファイル１６とは異なる。それゆえ、各コンピュータ２０にとって、オリジナルファイル１０と連携された保護ファイル１６は別のものである。
ここで、コンピュータ・ノードの１つ、すなわちコンピュータ２０Ａに発生したウイルスあるいは不許可の指令を想定してみよう。さらに、コンピュータ２０Ａで動くオリジナルのコンピュータ・ファイル１０と連携されたコンピュータ保護ファイルＲ₁は、ウイルスの指令を検出できないと仮定しよう。さらに、ウイルスは連結に沿ってコンピュータ２０Ｂに伝播する。同じウイルスであるから、コンピュータ２０Ａで動くオリジナルのストリング１０を冒したのと同じように、コンピュータ２０Ｂで動くオリジナルのコンピュータ・ファイルあるいはオリジナルのストリング１０を冒す。コンピュータ２０Ｂのオリジナルのファイルと連携されたコンピュータ保護ファイルあるいは抗体セット１６Ｒ₂は、コンピュータ２０Ａのコンピュータ保護ファイルとは異なるから、コンピュータ２０Ａのコンピュータ保護ファイルＲ₁がウイルスの指令を検出できなかったとしても、前述のテスト方法によればオリジナルのコンピュータ・ファイル１０の変化によりウイルスの存在を検出するかも知れない。それゆえ、ウイルスが全体のコンピュータネットワークに侵入するためには、ウイルスはコンピュータ２０Ａのコンピュータ保護ファイルＲ₁ばかりでなく、コンピュータ２０Ｂの保護ファイルＲ₂，コンピュータ２０Ｃの保護ファイルＲ₃，コンピュータ２０Ｄの保護ファイルＲ₄にもまた打ち勝たねばならない。お分かりのように、ネットワーク上のコンピュータの数が増えるにつれ、増加するネットワーク上の異なる保護ファイルに対応して検出を避けるウイルスの能力も減少する。それゆえ、本発明の方法において、オリジナルのストリング１０へのウイルスの指令の検出は、確率的根拠のある決定である。
検出の確率
検出は確率的なものであるため、次に保護ファイル１６のテスト・ストリングおよびオリジナルのストリング１０の異なる構成に対する確率について説明する。最初は、同じ長さの２つのストリング間の完全なマッチングは、ストリングの各場所で、デジタル信号（バイナリ信号、あるいはバイト信号やキャラクタ信号のようなバイナリ信号の集まり）が同一であることを意味することに注意すべきである。１つの実施例においては、もし対応する場所におけるシンボルの隣接マッチングが起こるならば、マッチングが起こると思われる。さらに、もしストリングの長さがｌでありｍがアルファベットのシンボルの数（シンボルがバイナリ１であり、１０４の順位にある場合、ＳＰＡＲＣプロセッサからの指令セットに対しｍ＝２，そして中間値に対しｍ＝５０）であるならば，マッチングの確率は次のように決定される。
もし、次の用語を定義するならば、
Ｎ_R0＝テスト・ストリングの最初の数（マッチングを行う前）
Ｎ_R＝マッチングを行った後のテストストリングの数
Ｎ_S＝オリジナルのストリングのセグメントの数
Ｐ_M＝２つのランダム・ストリングのマッチングの確率
ｆ＝Ｎ_Sオリジナルのストリングのいずれもマッチングしないランダム・ストリングの確率
＝（１−Ｐ_M）^NS
Ｐ_f＝Ｎ_R抗体が指令を検出しない確率
もし、Ｐ_Mが小さくＮ_Sが大きいならば、

そして、

上記をＮ_Rについて解くと、
ln P_f=N_R ln（1-P_M）
あるいは、

ｆは、ほぼ

であるから、
-P_MN_S=N_S ln（1-P_M）
あるいは、
-P_M=ln（1-P_M）
あるいは、

そこで、次の式を得る。

あるいは、

この式により、検出の確率（１−Ｐ_f）の関数として指令を検出することが求められる最初のストリング（Ｎ_R0）の数、保護されるオリジナルのストリングのセグメントの数（Ｎ_S）、およびマッチングルール（Ｐ_M）を予測することができる。Ｒ₀は、次式のようなマッチングルールを選択することにより最小化される。

これは所望の検出の確率を選択することができ、Ｎ_Sの大きさ（保護されるべきストリングの数）の関数として求められる抗体ストリングの数を概算することができることを示している。
検出の確率の増大はコンピュータ費用の増加に結び付くため（Ｒ₀およびＲの大きさが増大するため）、（ａ）１つの侵入行為がいかに致命的であるか、そして（ｂ）システムにどれほど冗長性が存在するか（すなわち、どれほど検出アルゴリズムのコピーが存在するか）を決定することにより所望の検出の確率を選択することができる。検出の確率は独立の検出アルゴリズムの数により指数関数的に増加することに注意すべきである。もし、Ｎ_t＝アルコリズムのコピーの数であるならば、

以下の表の値は、異なったアルファベットサイズ、すなわちｍから対応するｒおよびｌの値を求めたものである。

前述の表は、式に対して概算により求めたものである。結局、正確な式を用いて、以下の表の値を求めた。

他の実施例
図２ａには、図１ａに示された本願発明の方法の他の実施例のフローチャートが示されている。図２ａのフローチャートでは、オリジナル・ストリングは１１０として記載されている。本願発明の方法を実行しているコンピュータは、ランダムなテスト・ストリング１１２を生成する。図１ａに示されるオリジナル・ストリング１０と同様なオリジナル・ストリング１１０は、複数のセグメントとして細かに調べられる。好ましい実施例では、セグメントのすべては複数の隣接デジタル信号からなる各々のセグメントと等価である。ついで、コンピュータはランダムに生成させたテスト・ストリング１１２をオリジナル・ストリング１１０の各々のセグメントとのマッチングを行う。結局、マッチしないと、テスト・ストリング１１２は廃棄される。
結局、テスト・ストリング１１２がオリジナル・ストリング１１０のセグメントとマッチすると、テスト・ストリング１１２は、抗体セット（Ｒ）１１６の一部として保護ファイル１１６に保持される。抗体セット（Ｒ）１１６の生成は、図１ａで示され記述された抗体セット（Ｒ）１６の正確に相補的なロジックとなる。しかしながら、テスト・ストリング１１２はオリジナル・ストリング１１０のひとつ以上のセグメントとマッチするので、テスト・ストリング１１２がオリジナル・ストリング１１０とマッチする特定のひとつの場所かまたは複数の場所もまた抗体セット（Ｒ）１１６に格納される。また、テスト・ストリング１１２がオリジナル・ストリング１１０のセグメントとマッチした回数に関するデータも抗体セット（Ｒ）１１６に記録されなければならない。
図２ａに示したフローチャートと同じように、図２ｂのフローチャートは、図１ｂのフローチャートに示された方法の別の実施例である本願発明の方法を示している。一旦、抗体セット（Ｒ）ファイル１１６が作られると、抗体セット（Ｒ）ファイルはストリング１１８に対してテストされる。それは抗体セット１１６からのテスト・ストリング１１２がストリング１１８に対してマッチすると仮定される各々の場所で、抗体セット１１６からのテスト・ストリング１１２をテストされるべきストリング１１８に対してマッチングを試みることになる。もし、マッチしなければ、ストリング１１８はオリジナル・ストリング１１０と同一ではなく、オリジナル・ストリング１１０に対する変化が検出される。
もし抗体セット１１６からのテスト・ストリング１１２がストリング１１８のセグメントとマッチすれば、コンピュータはテスト・ストリング１１２をマッチが起こると想定されているすべての場所がテストされるかまたは必要とされるマッチ数になるまで、残りのすべてのセグメントに対して比較を行う。これは、もし複数のマッチがあったり、オリジナル・ストリング１１０のセグメントのひとつのみにウイルスが感染したような場合、マッチングテストは抗体セット１１６からのテスト・ストリング１１２をオリジナル・ストリング１１０の想定されたマッチングセグメントのすべてに対して、変更が生じていないことを確かめるため比較しなければならないため必要なことである。もし、抗体セット１１６からのテスト・ストリング１１２が、ストリング１１８のセグメントの必須の回数や必須の場所でマッチすれば、第２のテスト・ストリング１１２が抗体セット１１６から検索され、すべてのテスト・ストリング１１２がテストされるまで、別のマッチングテストが実行される。結局、すべてのテスト・ストリング１１２が必須の場所および回数でストリング１１８のセグメントとマッチし、ストリング１１８はオリジナル・ストリング１１０と同一であるという高い信頼性を有するようになる。
図２ａおよび２ｂに述べられ示されたオリジナル・ファイルでの変化を確実に検知するという点における本発明の方法の有利な点は、同様に、図３に述べられ示されるようなネットワークに適用することができる。ネットワークの各々のコンピュータ２０（Ａ−Ｄ）は他のコンピュータ２０の抗体セット１１６とは異なるそれ自身の抗体セット１１６を生成するので、ウィルスを逃しコンピュータネットワーク全体に広がってしまう確率は、ネットワークにおけるコンピュータの数が増加するにつれて減少するであろう。
その他の考察
前述において論じたように、本発明は物理的な”ファイル”の作成またはテストに限定されない。用語”ファイル”の使用は、デジタル信号、キャラクタ信号による又はバイトによるような２進数あるいはそれ以上のグループ化(grouping)の集合体を備え得るデジタル情報の集合を定義するには明かに手不足である。
更に、前述において論じたように、”マッチ”の概念は、各場所において完全同一であるマッチに限定されない。上記において記載される一例は単に、”ｒ＜ｌとなるようなストリング長ｌにおいて、対応する位置における信号間での隣接するｒ個のマッチ”である。他の実施例は単に、”ｒ＜ｌとなるようなストリング長ｌにおいて、対応する位置における信号間でのｒ個のマッチ”である。この実施例は、対応する位置における信号間のマッチは隣接するマッチでなければならないという要件を緩和する。他の形態のマッチには相補形態(complementary form)のような論理等価物が含められる。故に、例えば、２進法のストリング”０１１１”は”１０００”に対するマッチと考えられる。というのは、この２つは論理的に相補的等価物であるからである。
更に、図１ａに示され記載されるようなコンピュータ保護ファイル１６の発生において、オリジナル・ストリング１０に”マッチしない”テスト・ストリング１２を保持することによって、対応する場所、例えば１つのシンボル、にマッチがなければテスト・ストリング１２は拒絶される必要はない。言い換えれば、コンピュータ保護ファイル１６は、複数の”純粋な”テスト・ストリング１２であってどのストリングもオリジナル・ストリング１０における対応するシンボルとマッチする単一シンボルは有しないようなものを備える必要はない。低レベルのマッチが許容され得る。
従って、テストされるストリング１８に対してコンピュータ保護ファイル１６の各テスト・ストリング１２をテストするに当たり、図１ｂに示され記載されるように、対応する場所における単一シンボルのマッチのような低レベルのマッチはオリジナル・ストリング１０が変更された旨の宣言に至る必要はない。
同様に、コンピュータ保護ファイル１１６の発生において、図２ａに示され記載されるように、オリジナル・ストリング１１０に”マッチする”テスト・ストリング１１２を保持することによって、対応する場所に例えば１つのシンボルがマッチしないならテスト・ストリング１１２は拒絶される必要はない。言い換えれば、コンピュータ保護ファイル１１６は、複数の”純粋な”テスト・ストリング１１２であってどのストリングもオリジナル・ストリング１１０における対応するシンボルとマッチしない単一シンボルは有しないようなものを備える必要はない。低レベルの非マッチングが許容され得る。
加えて、コンピュータ保護ファイル１６の各テスト・ストリング１２をテストするに当り、図２ｂに示され記載されるように、対応する場所における単一シンボルがマッチしないような低レベルの非マッチはオリジナル・ストリング１０が変更された旨の宣誓に至る必要はない。
故に、クレームを含めて、ここで用いるように、用語”マッチ”は、上述の方法のいかなるものをも含むものであり、場合に応じて低レベルの”マッチ”又は”非マッチ”を含むが、これらに限定されるものではない。
低レベルの”マッチ”又は”非マッチ”の許容の論拠は、単一シンボル（ビットまたはバイト）における変更のような幾つかの変更のみを生じるウイルスは蔓延しないだろうということである。ウイルスが複写するならば、多くの変化が起きウイルスが検出されるだろう。低レベルのウイルス攻撃を許容するための二律背反性は、オリジナル・ストリングを保護するアルゴリズムが速く実行するだろうが保護の低下を伴うということである。これは、人間の免疫系において低レベルのウイルス攻撃は必ずしも免疫応答を引き起こさないことと類似している。
最後に、テスト・ストリング１２又は１１２の発生は、図１ａ及び図２ｂに示され記載される方法においてランダムに発生しなくてもよい。次に発生するテスト・ストリング１２又は１１２が先に発生するテスト・ストリング１２又は１１２と異なる限りにおいて、本発明の方法は同様に機能するだろう。 Technical field
The present invention relates to a method for detecting alterations to a collection of digital signals as stored or used in a computer. In particular, the present invention relates to a method for detecting alterations in a computer file caused by, for example, unauthorized alteration by viruses or other forms.
Background of the Invention
As computer systems and software are increasingly interrelated, such as hardware is interrelated over a network, while software is interrelated in terms of the portability of computer programs and data, for example It has become increasingly difficult to protect against unauthorized intrusion by unauthorized users such as viruses and by unauthorized tampers. Furthermore, as computers are increasingly interrelated, it is becoming increasingly difficult to isolate (other devices) from such intrusion once it occurs at a node in the computer network.
Virus detection programs are well known in the art. In a typical conventional virus detection program, the program tracks a specific virus that is parasitic in a storage medium (memory or disk) that is a sub-component of the computer and determines its presence. However, such conventional anti-virus programs simply detect known viruses. If a new virus is created and enters a computer program, the anti-virus program cannot identify the new virus and therefore cannot detect the presence of such a new invading virus. Therefore, one reason for the emergence of anti-virus programs in the past is that the anti-virus program has to be updated from time to time in order to identify newly created viruses.
Similarly, other problems with conventional anti-virus programs include: That is, if a virus enters from a node on one computer on the network and the anti-virus program fails to detect it, even if all other computers on the network have the same anti-virus program The virus spreads to all other computers on the network without detection. As a result, it is practically confirmed that a new virus can infiltrate and spread to all computer networks once it has entered a certain node on the computer network.
In the computer arts, as with anti-virus programs, programs that compare one file with another to detect its modification are well known. In addition, file authentication methods such as checksums are well known in the art.
In the field of biology, immune system cells are well known. T cells form part of the immune system. T cells have receptors on their surface that detect antigens. These receptors are constructed through a pseudo-random genetic process, and some receptors have a high probability of being able to detect molecules or “self-molecules” from living organisms. T cells go through a censorship process called passive selection in the thymus. In the passive selection, T cells that recognize self-molecules, molecules that are normal to living organisms, or molecules that are peptides are destroyed and retained in the thymus. T cells that have not detected self-peptides leave the thymus and provide a basis for protection by immunity against external antigens.
Summary of the Invention
In the present invention, a method for generating a computer protection file having a plurality of adjacent digital signals to protect the original computer file is disclosed. In that method, a test file is first generated. The test file has a plurality of adjacent digital signals. In that method, matching between a plurality of adjacent digital signals in the test file and a plurality of adjacent digital signals in the original computer file is examined. If there is a match, the test file is discarded, and the procedure returns to generating another test file different from the previous test file. On the other hand, if there is no match, the test file is stored.
The present invention also includes a method for detecting alterations to an original computer file, wherein the original computer file has an associated protected file. The original computer file has a plurality of adjacent digital signals. The associated computer protection file also has a plurality of test files, each of which has a plurality of adjacent digital signals. The plurality of adjacent digital signals are signals that do not match the plurality of adjacent digital signals in the original computer file when the original computer protected file is generated. Therefore, in this method, a plurality of adjacent digital signals in one test file of the computer protection file are compared with a plurality of adjacent digital signals in the original computer file. If there is a mismatch, a different test file is selected until all test files in the computer protected file have been verified and the procedure returns to the comparison step. On the other hand, if the test file and the original computer file match, the procedure ends and a modification is detected in the original computer file.
[Brief description of the drawings]
FIGS. 1a and 1b are respective flowcharts of two methods in a preferred embodiment of the present invention for generating a computer protection file and detecting modifications to the original computer file after the computer protection file was generated. is there.
Figures 2a and 2b are flowcharts of another embodiment of the method shown in Figures 1a and 1b, respectively.
FIG. 3 is a schematic diagram of a network of computers, each computer having a different computer protection file associated with the original computer file to protect against the spread of a virus from one node of the network. doing.
Detailed Description of the Invention
The present invention relates to a method for generating a computer protection file to protect an original computer file. As used herein, including the claims, the term “file” means a collection of digital information. Such a collection of digital information includes a physical file physically stored on a storage medium, such as a computer disk drive, or a logical file that is part of another physical file. File can be applicable. What the term “file” indicates may be encoded and even included in other “file groups”, such as a computer protected file contained within the original computer file. In short, the term “file” is not limited to a physical collection separated from other physical collections, but simply a collection of digital information.
Referring to FIG. 1a, a flowchart of the method of the present invention for generating a computer protection file 16 to protect the original computer file 10 is shown. The original computer file 10 is represented as a file or string having a plurality of adjacent digital signals. Since the method of the present invention generally relates to a collection of digital information protected within a computer system, the original string 10 can be a binary signal or a larger signal based on bytes or characters. The computer uses a test string (R₀) Randomly generate a test file represented as 12. The test string 12 also has a plurality of adjacent digital signals. Next, a match of the randomly generated test string 12 against a portion of the original string 10 is attempted. Test string R, as will now be described in detail.₀Are compared to the adjacent digital signals of the original string 10. In the case of a match (the criteria that will be discussed in detail hereinafter), the test string 12 is rejected and the method continues to generate another random test string 12, and the above steps are followed. to continue. If non-match, the test string 12 is retained in the computer protection file 16 or antibody set (R) 16. In a preferred embodiment, the method described so far is continued until a plurality of non-matching test files 12 are stored in the antibody set (R) 16 as computer protected files. .
In order to attempt to compare a plurality of adjacent digital signals of the randomly generated test string 12 to a plurality of adjacent digital signals of the original string 10, the original string 10 first begins with each of the plurality of adjacent digital signals. Can be parsed into multiple adjacent segments or logically decomposed. In the preferred embodiment, the original string 10 is parsed or decomposed into equally sized segments. However, this is not an essential limitation and is merely for convenience. For example, the original string 10 is
00101000100100000100001010010011
Is the 32-bit string described above, it is parsed and decomposed into 8 segments each consisting of 4 adjacent digital bits as follows:
0010 | 1000 | 1001 | 0000 | 0100 | 0010 | 1001 | 0011
When the original string is parsed and decomposed into 8 segments each having 4 adjacent digital bits, each of the randomly generated test strings 12 also has 4 adjacent digital bits in length. become. Test string 12 is then compared to each of the segments by testing each of the digital signals of test string 12 against the digital signal of each segment. Thus, if the test string 12 includes the adjacent digital signal “1000”, a match is found between the test string 12 and the second segment. In that case, the method then continues to randomly generate a different test string 12 and attempt to compare that test string 12 to each of the segments of the original string 10.
If it is found that the randomly generated test string 12 does not match any of the segments of the original string 10, for example, if the test string is “0111”, the test string 12 (R) stored in 16. In a preferred embodiment, another test string 12 is randomly selected until a plurality of test strings 12 that do not match any of the segments of the original string 10 are stored in the antibody set (R) 16. Generated and tested against each segment of the original string 10.
Referring to FIG. 1b, there is shown a flow chart of another method of the present invention, where a plurality of unmatched test strings are found once determined in the method, and an antibody set ( When stored in (R) 16, the antibody set (R) 16 is used to determine whether alterations have occurred in the string 18 being tested. The string 18 being tested has an association with the original string 10 being tested. If no unauthorized intrusion or invasion of the original string or the original computer file 10 has occurred, the string 18 being tested matches the original string 10. However, if the original string 10 has been altered or invaded by a virus or the like since the antibody set (R) 16 was generated, the string 18 to be tested is a variation of the original string 10. The method of the present invention depicted in FIG. 1b determines whether the string 18 being tested is likely to be the original string 10 or a modified variant thereof.
In the preferred embodiment, the string 18 to be tested is also parsed or decomposed into a plurality of segments each consisting of a plurality of adjacent digital signals. Again, in the preferred embodiment, the lengths of the segments are equal and equal to the length of the segments used to generate the antibody set (R) 16. Continuing with the above example, string 18 is parsed and decomposed into 8 segments each 4 bits long. Each test string from antibody set (R) 16, which is 4 bits long, is compared against each of the segments of string 18. If test string 12 from antibody set (R) 16 does not match any of the segments from string 18, the next test string 12 from antibody set (R) 16 is used. This continues until all of the test strings from antibody set (R) 16 have been tested and it is revealed that string 18 is likely to be the same as original string 10.
On the other hand, if any of the test strings from antibody set (R) 16 matches any of the segments of string 18, string 18 does not match original string 10 and It is revealed that a change has occurred.
FIG. 3 shows a schematic diagram of a plurality of computers 20 (A-D) networked. The effect of the method of the present invention will become apparent with reference to FIG. If it is assumed that each computer 20 executes each original computer program or string 10, each computer 20 (A-D) is associated with the associated computer protection in the manner described using FIG. 1a. An antibody set (R) 16 that is different from that generated by the file or other computer 20 is generated. Since each protected file 16 is created based on a randomly generated test string 12, it is linked with the computer 20A and R₁The protected file 16 labeled as R is associated with the original string 10 generated by the computer 20B.₂Is different from the protected file 16 labeled. Therefore, the protection file 16 linked to the original file 10 is different for each computer 20.
Here, let us assume a virus generated in one of the computer nodes, that is, the computer 20A or an unauthorized command. Furthermore, the computer protection file R linked with the original computer file 10 running on the computer 20A.₁Let's assume that the virus command cannot be detected. Furthermore, the virus propagates to the computer 20B along the connection. Because it is the same virus, it affects the original computer file or original string 10 that runs on the computer 20B, just as it did the original string 10 that runs on the computer 20A. Computer protection file or antibody set 16R linked with the original file of the computer 20B₂Is different from the computer protection file of the computer 20A.₁Even if the virus command cannot be detected, the above test method may detect the presence of the virus by the change in the original computer file 10. Therefore, in order for the virus to enter the entire computer network, the virus is protected by the computer protection file R of the computer 20A.₁Not only the protected file R of the computer 20B₂, Protection file R of computer 20C_Three, Protected file R of computer 20D_FourI must overcome it again. As you can see, as the number of computers on the network increases, so does the ability of the virus to avoid detection in response to the increasing number of different protected files on the network. Therefore, in the method of the present invention, detection of a virus command on the original string 10 is a probabilistic decision.
Probability of detection
Since detection is probabilistic, the probabilities for different configurations of the protected file 16 test string and the original string 10 will now be described. Initially, a perfect match between two strings of the same length means that the digital signal (binary signal or a collection of binary signals such as byte or character signals) is the same at each location of the string. It should be noted that. In one embodiment, if a neighbor match of a symbol at the corresponding location occurs, a match will occur. In addition, if the length of the string is l and m is the number of symbols in the alphabet (symbol is binary 1 and in rank 104, m = 2 for the command set from the SPARC processor and for the intermediate value If m = 50), the probability of matching is determined as follows.
If you define the following terms:
N_R0= The first number of test strings (before matching)
N_R= Number of test strings after matching
N_S= Number of segments in the original string
P_M= Probability of matching two random strings
f = N_SProbability of a random string that does not match any of the original strings
= (1-P_M)^NS
P_f= N_RProbability that the antibody will not detect the command
If P_MIs small N_SIf is large,

And

N above_RSolving for
ln P_f= N_R ln (1-P_M)
Or

f is almost

Because
-P_MN_S= N_S ln (1-P_M)
Or
-P_M= ln (1-P_M)
Or

Therefore, the following formula is obtained.

Or

From this equation, the probability of detection (1-P_f) The first string (N_R0), The number of segments of the original string to be protected (N_S) And matching rules (P_M) Can be predicted. R₀Is minimized by selecting a matching rule such as

This can select the desired probability of detection and N_SIt shows that the number of antibody strings determined as a function of the size of (number of strings to be protected) can be approximated.
Increased detection probability leads to increased computer cost (R₀And because the size of R increases) (a) how fatal one intrusion is, and (b) how much redundancy exists in the system (ie, how many copies of the detection algorithm exist) The probability of desired detection can be selected. Note that the probability of detection increases exponentially with the number of independent detection algorithms. If N_t= If the number of copies of the alcoholism

The values in the table below are the different alphabet sizes, ie, the corresponding r and l values determined from m.

The above table is a rough estimate of the equation. Eventually, the values in the following table were obtained using an accurate formula.

Other examples
FIG. 2a shows a flow chart of another embodiment of the method of the invention shown in FIG. 1a. In the flowchart of FIG. 2a, the original string is listed as 110. A computer executing the method of the present invention generates a random test string 112. An original string 110 similar to the original string 10 shown in FIG. 1a is probed as a plurality of segments. In the preferred embodiment, all of the segments are equivalent to each segment of a plurality of adjacent digital signals. The computer then matches the randomly generated test string 112 with each segment of the original string 110. Eventually, if there is no match, the test string 112 is discarded.
Eventually, when test string 112 matches a segment of original string 110, test string 112 is retained in protected file 116 as part of antibody set (R) 116. The generation of antibody set (R) 116 results in exactly complementary logic of antibody set (R) 16 shown and described in FIG. However, since the test string 112 matches one or more segments of the original string 110, the specific location or locations where the test string 112 matches the original string 110 is also an antibody set (R). 116. Data regarding the number of times the test string 112 matched the segment of the original string 110 must also be recorded in the antibody set (R) 116.
Similar to the flowchart shown in FIG. 2a, the flowchart of FIG. 2b shows the method of the present invention, which is another embodiment of the method shown in the flowchart of FIG. 1b. Once the antibody set (R) file 116 is created, the antibody set (R) file is tested against the string 118. It attempts to match the test string 112 from the antibody set 116 against the string 118 to be tested at each location where the test string 112 from the antibody set 116 is assumed to match against the string 118. Become. If there is no match, the string 118 is not identical to the original string 110 and a change to the original string 110 is detected.
If the test string 112 from the antibody set 116 matches a segment of the string 118, the computer will test the test string 112 for all locations where a match is expected to occur or the number of matches required. Until all the remaining segments are compared. This is because if there are multiple matches, or if only one of the segments of the original string 110 is infected with the virus, the matching test assumes that the test string 112 from the antibody set 116 is the original string 110. This is necessary because all of the matching segments must be compared to ensure that no changes have occurred. If test string 112 from antibody set 116 matches the required number or location of segments of string 118, second test string 112 is retrieved from antibody set 116 and all test strings are searched. Another matching test is performed until 112 is tested. Eventually, every test string 112 matches the segment of string 118 at the required location and number of times, and string 118 becomes highly reliable that it is identical to original string 110.
The advantages of the method of the present invention in that it reliably detects changes in the original file described and shown in FIGS. 2a and 2b apply equally to a network as described and shown in FIG. be able to. Since each computer 20 (AD) in the network generates its own antibody set 116 that is different from the antibody set 116 of the other computer 20, the probability of missing a virus and spreading it throughout the computer network is the computer in the network. It will decrease as the number of increases.
Other considerations
As discussed above, the present invention is not limited to the creation or testing of physical “files”. The use of the term “file” is clearly inadequate to define a collection of digital information that may comprise a collection of binary or higher groupings such as digital signals, character signals, or bytes. is there.
Further, as discussed above, the concept of “match” is not limited to matches that are exactly the same at each location. One example described above is simply “adjacent r matches between signals at corresponding positions in string length l such that r <l”. Another example is simply “r matches between signals at corresponding positions in string length l such that r <l”. This embodiment relaxes the requirement that the match between signals at corresponding positions must be adjacent matches. Other forms of matches include logical equivalents such as complementary forms. Thus, for example, the binary string “0111” is considered a match for “1000”. This is because the two are logically complementary equivalents.
In addition, in the generation of a computer protection file 16 as shown and described in FIG. 1a, a corresponding location, for example a symbol, is matched by keeping a test string 12 that "does not match" the original string 10. Otherwise, the test string 12 need not be rejected. In other words, the computer protection file 16 need not include a plurality of “pure” test strings 12 such that no string has a single symbol that matches the corresponding symbol in the original string 10. . Low level matches can be tolerated.
Thus, in testing each test string 12 of the computer protection file 16 against the string 18 being tested, a low level such as a single symbol match at the corresponding location, as shown and described in FIG. 1b. The match need not result in a declaration that the original string 10 has been changed.
Similarly, in the generation of the computer protection file 116, by holding a test string 112 that "matches" the original string 110, as shown and described in FIG. If it does not match, the test string 112 need not be rejected. In other words, the computer protection file 116 need not include multiple “pure” test strings 112 such that no string has a single symbol that does not match the corresponding symbol in the original string 110. . A low level of non-matching can be tolerated.
In addition, in testing each test string 12 of the computer protection file 16, as shown and described in FIG. 2b, a low level non-match that does not match a single symbol at the corresponding location is There is no need to reach an oath that string 10 has changed.
Thus, as used herein, including the claims, the term “match” is intended to include any of the methods described above, and may include a low level “match” or “non-match” as the case may be. However, it is not limited to these.
The rationale for accepting low-level “match” or “non-match” is that viruses that only produce some changes, such as changes in a single symbol (bit or byte), will not spread. If the virus replicates, many changes will occur and the virus will be detected. A trade-off to allow low-level virus attacks is that the algorithm that protects the original string will run faster but with a reduced protection. This is similar to the low level of viral attack in the human immune system that does not necessarily cause an immune response.
Finally, the generation of the

test string

12 or 112 may not occur randomly in the method shown and described in FIGS. 1a and 2b. As long as the next generated

test string

12 or 112 is different from the previously generated

test string

12 or 112, the method of the present invention will function similarly.

Claims

In order to protect a second plurality of consecutive digital signals (hereinafter referred to as original strings) stored in a computer storage device, it is possible to determine whether there is any alteration in the original strings. A method for generating a protection string using the arithmetic unit to generate a first plurality of continuous digital signals (hereinafter referred to as protection strings) that are compared with the original string by :
Generating a plurality of continuous digital signals for testing (hereinafter referred to as test strings) using the arithmetic unit;
(B) using the computing device to test whether the test string matches the original string;
When matching in step (b) , discarding the test string and returning to step (a) to generate a different test string using the arithmetic unit (c1);
(C2) storing the test string in the protection string in the storage device using the arithmetic unit when there is no match in the step (b);
A protection string generation method comprising:

The step (c2) further returns to the procedure of the step (a) by using the arithmetic unit, and ends the procedure after a plurality of non-match test strings are stored in the protection string in the storage device. The protection string generation method according to claim 1, wherein:

Further, the protective string generation method according to claim 1, further comprising a step of decomposing by using the computing device to the original string to each of a plurality of segments comprising a plurality of successive digital signals.

The step (b) of trying the match uses the arithmetic unit to determine whether a plurality of consecutive test strings for each test match the plurality of consecutive digital signals in each of the segments of the original string. 4. The protection string generation method according to claim 3, wherein the protection string generation method is performed.

2. The protection string generation method according to claim 1, wherein in the step (a), a test string is randomly generated using the arithmetic device .

In an original string alteration detection method for detecting alteration of a first plurality of continuous digital signals (hereinafter referred to as original strings) stored in a computer storage device ,
The storage device has a second plurality of continuous digital signals (referred to as protection strings) associated with the original string ;
The protection string has a plurality of test strings;
Each of the test strings has a plurality of consecutive digital signals that do not match the original string when the protection string is created;
And step (a) to compare with the arithmetic unit of a plurality of successive digital signal with the computer of the plurality of successive digital signal the original string of the test string of one of said protection string,
When said a non-match in step (a), the process returns to the procedure of step (a) until all said test string of protective string using the operation device is tested, and different test string Selecting step (b1);
When there is a match between the test string and the original string in the step (a) , the procedure is terminated , and a step (b2) for determining that the original string is altered using the arithmetic unit ;
An original string alteration detection method for detecting alteration of an original string, comprising :

The protective string modified method for detecting the original string according to claim 6, characterized in that it is decomposed into a plurality of segments, each comprising a plurality of successive digital signals stored in the storage device.

It said comparing step (a) is a continuous digital signal of multiple one test string of the protective string, using the computing device and a plurality of successive digital signals of the respective segments of the original string comparison The original string alteration detection method according to claim 7, wherein:

In a method for protecting an original string for protecting a first plurality of continuous digital signals (hereinafter referred to as original strings) stored in a storage device of a computer ,
Generating a second plurality of continuous digital signals (hereinafter referred to as test strings) using the computing device of the computer ;
Said second plurality of successive digital signal of the test string, the step (b) compared using the arithmetic unit and the plurality of successive digital signal of the original string,
Results of comparison of the comparing step (b), when the said second plurality of successive digital signal of the test string, and a first plurality of successive digital signal of the original string to match, wherein the step of returning to the procedure of for different test string by using an arithmetic unit step (a) and (c1),
When the comparison result of the comparison step (b) is non-matching , the test string is stored in the protection string in the storage device using the arithmetic unit, and a plurality of non-match tests are performed on the protection string. Returning to the procedure of step (a) until the string is stored (c2);
A continuous digital signal of multiple one test string of the protective string, the step (d) to compare with the computing device and a plurality of successive digital signal of the original string,
When the result of comparison of the comparing step (d) is a non-match, until said computing device all test string stored in the protected string using is tested, the process returns to the step (d), and different Selecting a test string (e1);
Comparison of the results of the comparison step (d), when the test string and said original string matches, the step of determining that to end the procedure using the computing device, is modified in the original string is present (E2) and An original string protection method comprising:

10. The method of protecting an original string according to claim 9 , further comprising the step of decomposing the original string into a plurality of continuous segments each consisting of a plurality of continuous digital signals using the arithmetic unit. .

Said comparing step (b), the test string, said each of said segments of the second plurality of successive digital signal and the original string, the computing device match with the plurality of successive digital signal The method for protecting an original string according to claim 10, wherein the original string is tried using .

Said comparing step (d) is said each of said segments of said second plurality of contiguous digital signal and the original string test string, the computing device match with the plurality of successive digital signal The method for protecting an original string according to claim 10, wherein the original string is tried using .

The test string is a method of protecting the original string of claim 9, wherein the randomly generated using the arithmetic unit.

In a computer file protection method for protecting a plurality of identical original computer files stored in a plurality of computers ,
Each of the original computer file has a plurality of successive digital signals at each computer,
A step (a) of randomly generating a plurality of continuous digital signals for testing (hereinafter referred to as test strings) using a computing device of a computer;
And step (b) compared using the computing device a plurality of successive digital signals of the plurality of successive digital signal of the original computer files for the testing of the test string,
As a result of the comparison in the comparison step (b), when the plurality of continuous digital signals of the test string match the plurality of continuous digital signals of the original computer file , the arithmetic unit is used. Returning to step (a) (c1);
When the comparison result of the comparison step (b) is non-matching, the test string is stored in a computer protection file using the arithmetic unit, and a plurality of non-matching test strings are stored in the computer protection file. Step (c2) to return to the procedure of step (a) until
And step (d) to compare with the computing device and a plurality of successive digital signals of the original computer file multiple successive digital signal of one test string of the computer protected file,
When the comparison result of comparison of step (d) is a non-match, the process returns to the step (d) until the test string of all the hands of the computer protection file by using the operation device is tested, and different test Selecting a string (e1) ;
Comparison of the results of the comparison step (d), when the test string and said original computer file matches may determine that the procedure ended and there is a modification to the original computer file using the arithmetic unit Step (e2)
A computer file protection method comprising:

15. The computer file protection method according to claim 14, further comprising the step of decomposing the original computer file into a plurality of continuous segments each consisting of a plurality of continuous digital signals using the arithmetic unit. .

Said comparing step (b) is a match with a plurality of successive digital signal of each of said segments of said original computer file and a plurality of successive digital signals for testing of the test string with the computing device the method of protecting a computer file of claim 15, wherein the test Te.

It said comparing step (d) is the one of the test string and a plurality of said plurality of successive digital signal of each of the segments of a continuous digital signal and the original computer files for testing of the computer protection file The computer file protection method according to claim 15, wherein the comparison is performed using an arithmetic device .

The computer file protection method according to claim 14 , wherein the plurality of computers are interconnected to a network.

In order to protect a second plurality of consecutive digital signals (hereinafter referred to as original strings) stored in a computer storage device, it is possible to determine whether there is any alteration in the original strings. In a protection string generating method for generating a first plurality of continuous digital signals (hereinafter referred to as protection strings) that are compared with the original string by :
Wherein the original string plurality of successive plurality of successive digital signals for the number of tests is less than the digital signal (hereinafter, referred to as the test string) and step (a) generated by using the operation device,
And step (b) to try matching the plurality of successive digital signal and said second plurality of successive digital signal of the original string for the test of the test string with the computing device,
When the result of step (b) is non-matching, discarding the test string using the arithmetic unit and returning to step ( a) for a different test string; (c1) ;
(C2) storing the test string in the protection string in the storage device using the arithmetic unit when the result of the step (b) is a match ;
A method for generating a protection string, comprising :

Characterized in that said step (c2) is further returned to the procedure of step (a) using the arithmetic unit, after the plurality of map Tchite strike string stored in the protected string, terminating the procedure The method for generating a protection string according to claim 19.

20. The protection string generating method according to claim 19, further comprising the step of decomposing the original string into a plurality of segments each consisting of a plurality of continuous digital signals using the arithmetic unit .

The step of trying the match (b) comprises calculating whether the plurality of consecutive test strings for the test string match the plurality of consecutive digital signals in each of the segments of the original string. The protection string generation method according to claim 21 , wherein the protection string generation is performed using an apparatus .

Said storing step (c2) is further said storage device the location position within said second plurality of successive digital signal of the original string the test string matches with the original string using the operation device protection string generation method of claim 19, wherein the storing in.

20. The protection string generation method according to claim 19, wherein in the step (a), a test string is randomly generated using the arithmetic device .

In an original string alteration detection method for detecting alteration of a first plurality of continuous digital signals (hereinafter referred to as original strings) stored in a computer storage device ,
A second plurality of continuous digital signals (hereinafter referred to as protection strings) associated with the original string in the storage device ;
The protection strings have a plurality of test string,
When the protective string is generated using the arithmetic unit, a method of matching a portion of a plurality of successive digital signal of the original string,
A plurality of successive digital signals of one test string of the protective string, the step (a) to compare with the computing device and a plurality of successive digital signal of the original string,
When the comparison of the comparing step (a) is a match, the process returns to the procedure of step (a) using the computing device, the different test string until all test string is tested in the protective string Selecting step (b1) ;
When the comparison result of the comparison step (a) is that the test string and the original string do not match, the procedure is ended using the arithmetic unit and it is determined that the original string is altered (b2) ;
An alteration detection method for an original string, comprising :

The protective string modified method for detecting the original string of claim 25, wherein be digested with each of the computing device into a plurality of segments comprising a plurality of successive digital signals.

Said comparing step (a), a plurality of successive digital signals of one test string of the protective string comparison using the computing device and a plurality of successive digital signals of the respective segments of the original string 27. The original string alteration detection method according to claim 26.

In a computer file protection method for protecting an original computer file having a plurality of continuous digital signals stored in a computer storage device ,
The original computer file said plurality of number of less than continuous signal, and step (a) to produce by using an arithmetic unit testing string computer with multiple continuous digital signals,
And step (b) compared using the arithmetic unit and the plurality of successive digital signal of the original computer file said plurality of successive digital signal of the test string,
Results of comparison of the comparing step (b), when the plurality of successive digital signals of said plurality of successive digital signal of the test string and the original computer files and is non-match, the different test string (C1) returning to step ( a) using the arithmetic unit
When the comparison result of the comparison step (b) is a match, the test string is stored in the protection file in the storage device using the arithmetic unit, and a plurality of match test strings are stored in the protection file. Step (c2) returning to step (a) until
And step (d) to compare with the computing device and a plurality of successive digital signals of said plurality of successive digital signals of one test string original computer file of the protected file,
If the result of the comparison in the comparison step (d) is a match, return to step (d) using the arithmetic unit until all the test strings of the protected file have been tested, and select a different test string Performing step (e1) ;
If the test string and the original computer file do not match, end the procedure using the computing device and determine that the original computer file is altered (e2) ;
A computer file protection method comprising:

29. The computer file protection method according to claim 28, further comprising the step of decomposing the original computer file into a plurality of continuous segments each consisting of a plurality of continuous digital signals using the arithmetic unit. .

The comparison step (b) uses the arithmetic unit to test a match between a plurality of continuous digital signals of the test string and a plurality of continuous digital signals of each segment of the original computer file. 30. The method of protecting computer files according to claim 29.

Said comparing step (d) is to try to match with a plurality of successive digital signal of each of said segments of said original computer file and a plurality of successive digital signal of the test string with the computing device 30. The method of protecting computer files according to claim 29.

It said storing step (c2) further location position within said plurality of contiguous digital signal of the original computer file, wherein the test string matches with the original computer files in said storage device using said computing device The computer file protection method according to claim 32, wherein the computer file is stored.

29. The computer file protection method according to claim 28, wherein in the step (a), a test string is randomly generated using the arithmetic device .

In a computer file protection method for protecting a plurality of identical original computer files stored in a plurality of computers ,
Each of the original computer file has a plurality of successive digital signals at each computer,
And step (a) to produce by using an arithmetic unit of the original computer number less than said plurality of continuous signal of files, the test string having a plurality of successive digital signals into random computer,
And step (b) compared using the arithmetic unit and the plurality of successive digital signal of the original computer file said plurality of successive digital signal of the test string,
When a plurality of successive digital signal of the said plurality of successive digital signal of the test string be in the comparing step (b) the original computer file is non-match, the using the arithmetic unit Returning to the procedure of step (a) ( c1 );
When the comparison result of the comparison step (b) is a match, the test string is stored in a protection file in a computer storage device using the arithmetic unit, and a plurality of match test strings are stored in the computer protection file. Step (c2) returning to step (a) until
And step (d) compared using a continuous digital signal of the operational unit of said plurality of successive digital signals of one test string original computer file of the computer protected file,
If the result of the comparison in the comparison step (d) is a match, return to the procedure of the step (d) using the arithmetic device until all the test strings of the computer-protected file are tested, and different Selecting a test string (e1) ;
If the original computer files and non-match between the test string, the arithmetic unit terminates the procedure using a comprise a scan and step (e2) to determine the presence of alterations to the original computer file A computer file protection method characterized by the above .

35. The computer file protection method according to claim 34, further comprising the step of decomposing the original computer file into a plurality of continuous segments each consisting of a plurality of continuous digital signals using the arithmetic unit. .

Said comparing step (b) is a match with a plurality of successive digital signal of each of the segments of the original computer file with a plurality of successive digital signals for testing of the test string with the computing device 36. A method of protecting computer files according to claim 35, wherein the method is tried.

The comparison step (d) uses the arithmetic unit to match a plurality of continuous digital signals for testing the test string with a plurality of continuous digital signals of each segment of the original computer file. 36. The method of protecting computer files according to claim 35, wherein:

Wherein the plurality of computers, a method of protecting a computer file of claim 34, wherein the are network interconnected.

The storing step (c2) further stores the location of the position in the plurality of continuous digital signals of the original computer file in which the test string matches the original computer file in the storage device using the arithmetic unit. 35. The method of protecting computer files according to claim 34.